IA : l’ordre de Trump oblige les conseils d’administration à revoir leur gouvernance

Le changement de cap de Washington ne règle pas une question essentielle pour les entreprises américaines : qui répond des décisions prises ou influencées par l’intelligence artificielle ? En abrogeant le cadre instauré sous Joe Biden, l’administration de Donald Trump modifie les repères fédéraux auxquels de nombreuses organisations commençaient à se référer. Mais l’absence d’une directive présidentielle détaillée ne fait pas disparaître les risques opérationnels, juridiques, éthiques et réputationnels liés à l’IA.

Pour les conseils d’administration, l’enjeu est donc moins de choisir entre innovation et contrôle que de concilier les deux. Une entreprise peut vouloir déployer rapidement un assistant génératif, automatiser des décisions internes ou intégrer l’IA dans sa relation client. Elle doit toujours pouvoir expliquer ce que fait l’outil, quelles données il emploie, quels dommages il pourrait causer et qui est chargé d’intervenir lorsqu’il se trompe.

Ce que l’ordre exécutif du 20 janvier 2025 change

Le 20 janvier 2025, Donald Trump a signé un ordre exécutif intitulé Removing Barriers to American Leadership in Artificial Intelligence. Le texte abroge l’ordre exécutif 14110 de Joe Biden, signé le 30 octobre 2023, qui portait sur le développement et l’utilisation sûrs, sécurisés et dignes de confiance de l’intelligence artificielle.

L’ordre de Joe Biden avait confié à diverses administrations fédérales des missions liées, notamment, aux standards de sécurité, aux tests de certains modèles d’IA, à la protection des consommateurs, à l’emploi, à la vie privée et à l’usage de l’IA par les pouvoirs publics. Son abrogation met fin à ce cadre présidentiel et demande aux agences concernées de revoir les politiques, directives et actions prises à partir de celui-ci lorsqu’elles sont incompatibles avec la nouvelle orientation.

La politique affichée par l’administration Trump est de préserver et de renforcer la domination mondiale des États-Unis dans le domaine de l’IA, afin de favoriser l’épanouissement humain, la compétitivité économique et la sécurité nationale. Le texte prévoit aussi la préparation d’un plan d’action sur l’IA dans les 180 jours.

Il serait toutefois inexact de parler d’une absence totale de règles. Un ordre exécutif n’est pas une loi générale sur l’IA, et son abrogation ne neutralise pas les obligations qui peuvent résulter d’autres textes, des autorités sectorielles, des contrats, des règles de protection des données ou des exigences propres à certains États. En revanche, les entreprises perdent un point de référence fédéral important pour organiser leur politique interne.

Pourquoi les conseils d’administration sont directement concernés

L’IA n’est plus un simple outil informatique géré à distance par une direction technique. Lorsqu’elle intervient dans le recrutement, la relation client, la détection de fraude, la production de contenus, l’analyse de données ou la cybersécurité, elle peut affecter les revenus, les coûts, l’image et la conformité d’une entreprise. Ces sujets relèvent de la supervision du conseil d’administration.

Le rôle du conseil n’est pas de paramétrer les modèles à la place des équipes opérationnelles. Il consiste à s’assurer que la direction possède une stratégie cohérente, identifie les risques matériels et met en place des contrôles adaptés. Dans le nouvel environnement créé par l’ordre de Donald Trump, ce devoir de vigilance devient d’autant plus important que les repères fédéraux précédents sont en cours de réexamen.

Les administrateurs doivent notamment être capables de poser des questions simples, mais déterminantes :

• Quels systèmes d’IA sont déjà utilisés dans l’entreprise, y compris par les salariés à titre expérimental ?
• Quelles données alimentent ces outils et quelles données peuvent en ressortir ?
• Dans quelles décisions une intervention humaine reste-t-elle indispensable ?
• Comment l’entreprise détecte-t-elle les erreurs, les biais ou les usages détournés ?
• Quel responsable rend compte régulièrement de ces sujets au conseil ?

Ces interrogations sont particulièrement importantes pour les organisations qui utilisent des systèmes fournis par des prestataires. L’entreprise cliente ne maîtrise pas toujours l’entraînement, l’évolution technique ou les mesures de sécurité du modèle sous-jacent. Pourtant, aux yeux de ses clients, de ses salariés ou de ses investisseurs, elle demeure comptable du service qu’elle fournit.

Les risques ne disparaissent pas avec l’abrogation d’un cadre fédéral

Une régulation moins directive peut être perçue comme une occasion d’accélérer l’expérimentation et de réduire les coûts de conformité. Certaines entreprises espèrent que cette approche favorisera des cycles de développement plus rapides et renforcera la compétitivité américaine. C’est l’un des arguments avancés par les partisans d’un cadre moins contraignant.

Mais le recul d’un référentiel fédéral peut aussi accroître l’incertitude. Sans critères facilement identifiables, chaque entreprise doit davantage définir elle-même le niveau de sécurité et de contrôle qu’elle estime nécessaire. Cette situation peut compliquer les arbitrages, notamment lorsqu’un groupe travaille dans plusieurs États, opère dans des secteurs réglementés ou vend ses services à des clients sensibles aux engagements éthiques et de sécurité.

Les risques à surveiller ne sont pas théoriques. Un système génératif peut produire des informations inexactes avec une assurance trompeuse. Un outil de tri ou de recommandation peut reproduire des biais présents dans ses données ou sa conception. Un assistant connecté à des documents internes peut exposer des informations confidentielles si les droits d’accès et les paramètres sont mal maîtrisés. L’IA peut aussi devenir une nouvelle surface d’attaque pour des acteurs malveillants.

Mettre en place une gouvernance de l’IA opérationnelle

Face à cette incertitude, la première réponse n’est pas nécessairement de créer une lourde bureaucratie. Il s’agit d’obtenir une vision claire des usages et des responsabilités. Beaucoup d’entreprises ont adopté des outils d’IA de manière diffuse : dans le service client, le marketing, les ressources humaines, les fonctions juridiques ou les équipes de développement. Un inventaire constitue donc un point de départ indispensable.

Le conseil peut demander à la direction de cartographier les systèmes utilisés, leur finalité, les données traitées, leur degré d’autonomie et les conséquences possibles d’une erreur. Les usages ne présentent pas tous le même niveau de risque. Un outil qui aide à résumer un document interne ne soulève pas les mêmes enjeux qu’un système qui influence une décision d’embauche, une recommandation destinée au public ou la détection d’une fraude.

Une gouvernance solide repose également sur des procédures de test et de suivi. Avant le déploiement, l’entreprise doit pouvoir examiner les performances attendues, les limites connues, les scénarios d’échec et les modalités de recours à un humain. Après le déploiement, elle doit vérifier que l’outil produit bien les résultats attendus et que son comportement ne se dégrade pas à mesure que les données, les usages ou le modèle évoluent.

Les fournisseurs d’IA deviennent un sujet de contrôle majeur

Les outils achetés sur étagère ou accessibles dans le cloud peuvent donner l’impression que les questions de sécurité sont réglées par le fournisseur. Cette impression est risquée. Le conseil d’administration doit s’assurer que la direction examine les engagements des partenaires externes, notamment sur la sécurité, la confidentialité, la gestion des incidents et les pratiques d’utilisation responsable.

Cette vigilance vaut aussi pour les sous-traitants et les prestataires qui intègrent eux-mêmes de l’IA dans leurs services. Une entreprise peut être exposée par un outil qu’elle n’a pas directement choisi, mais qui est employé par un partenaire chargé de traiter ses données ou de répondre à ses clients.

Les éléments suivants méritent une attention particulière lors de la sélection et du suivi d’un fournisseur :

• les données que le service peut collecter, conserver ou réutiliser ;
• les modalités de contrôle des accès et de séparation des données ;
• la capacité du fournisseur à signaler un incident ou une modification importante ;
• les limites reconnues du système et les mesures prévues pour réduire les erreurs ;
• la répartition contractuelle des responsabilités entre le fournisseur et l’entreprise utilisatrice.

Le conseil n’a pas besoin de négocier chaque clause. Il doit en revanche demander des indicateurs compréhensibles : nombre d’outils déployés, données sensibles concernées, incidents détectés, résultats des évaluations, exceptions accordées et plans de remédiation. Ces informations rendent les risques visibles et évitent que l’IA ne devienne un sujet traité uniquement après une crise.

Former les administrateurs et améliorer le dialogue interne

La compétence technologique des membres du conseil devient un enjeu de gouvernance. Il ne s’agit pas d’exiger de chaque administrateur qu’il devienne spécialiste des modèles de langage ou de l’apprentissage automatique. Une compréhension suffisante des principes, des limites et des risques permet toutefois d’éviter deux écueils : approuver un projet sur la seule promesse d’un gain de productivité, ou bloquer toute initiative par méconnaissance.

Des séances régulières peuvent aider le conseil à distinguer l’IA générative, qui produit du texte ou des images, des systèmes prédictifs, qui classent ou recommandent à partir de données. Elles peuvent aussi expliquer pourquoi un modèle peut sembler convaincant tout en commettant des erreurs, et pourquoi la qualité des données, la sécurité des accès et l’encadrement humain comptent autant que l’algorithme lui-même.

Le dialogue entre la direction et le conseil doit être structuré. Des rapports trop techniques empêchent les administrateurs d’exercer leur rôle, tandis que des présentations trop générales cachent les difficultés. L’objectif est de relier chaque usage de l’IA à une finalité commerciale, à un propriétaire interne, à un niveau de risque et à des mesures de contrôle vérifiables.

Ce qu’il faut surveiller dans les prochains mois

L’élément le plus attendu est le plan d’action sur l’IA que l’administration Trump doit préparer dans le délai de 180 jours fixé par l’ordre du 20 janvier 2025. Son contenu précis déterminera si le changement de cap se traduit surtout par l’abrogation du cadre précédent ou par de nouvelles orientations concrètes pour les agences fédérales et les entreprises.

D’ici là, les conseils d’administration ont intérêt à ne pas suspendre leurs travaux de gouvernance dans l’attente d’une règle parfaite. L’IA évolue trop vite, et les conséquences d’un déploiement mal contrôlé peuvent apparaître avant toute clarification politique. La bonne approche consiste à associer ambition technologique, transparence interne et gestion rigoureuse des risques.

Pour les entreprises, la période qui s’ouvre peut donc être une opportunité. Celles qui documentent leurs usages, évaluent leurs fournisseurs, surveillent les impacts de leurs systèmes et informent clairement leur conseil seront mieux placées pour innover avec confiance. Dans un environnement réglementaire mouvant, la qualité de la gouvernance devient elle-même un avantage stratégique.